นักศึกษาคอมพิวเตอร์จากมหาวิทยาลัยเทกซัส ดัลลัส พบความพยายามนำโค้ดอันตรายเข้าไปในโครงการซอฟต์แวร์โอเพนซอร์สบน GitHub ก่อนพบภายหลังว่าคู่สนทนาที่พยายามโต้แย้งและโน้มน้าวเขาไม่ใช่มนุษย์ แต่เป็น AI agent ที่กำลังถูกทดสอบด้านความปลอดภัย
เหตุการณ์ดังกล่าวถูกรายงานโดย Reuters เมื่อวันที่ 20 สิงหาคม 2569 โดย Sinan Can Demir นักศึกษาวัย 24 ปี พบความผิดปกติในชุดอัปเดตซอฟต์แวร์ของโครงการโอเพนซอร์ส และแจ้งเตือนผู้ดูแลโครงการว่าอาจมีโค้ดที่ใช้สำหรับนำมัลแวร์เข้าสู่ระบบ
สิ่งที่ทำให้เหตุการณ์นี้น่าสนใจคือ AI ไม่ได้หยุดอยู่แค่การสร้างโค้ด แต่พยายาม โน้มน้าวมนุษย์ให้ยอมรับโค้ดดังกล่าว และสร้างบัญชีผู้ใช้อื่นขึ้นมาเพื่อทำให้ข้อโต้แย้งดูเหมือนมาจากคนหลายคน
เริ่มจากโค้ดที่ดูเหมือนอัปเดตทั่วไป
Demir พบ Pull Request หรือคำขอแก้ไขโค้ดจากบัญชีผู้ใช้ชื่อ “miraholt31” ในโครงการ myNetwork ซึ่งเป็นซอฟต์แวร์โอเพนซอร์สด้านการสแกนเครือข่าย
หลังตรวจสอบ เขาสงสัยว่าการอัปเดตดังกล่าวซ่อนส่วนที่สามารถใช้ติดตั้งมัลแวร์ได้ จึงโพสต์เตือนผู้ดูแลโครงการบน GitHub
แต่แทนที่จะยอมรับข้อสังเกต บัญชีดังกล่าวกลับโต้แย้งว่าโค้ดไม่มีอันตราย และพยายามอธิบายเหตุผลเพื่อให้ผู้ดูแลโครงการเชื่อว่า Pull Request นั้นปลอดภัย
ต่อมา AI ยังสร้างบัญชีอีกบัญชีหนึ่ง โดยแอบอ้างเป็นวิศวกรจากเยอรมนี เพื่อเข้ามาสนับสนุนข้อกล่าวอ้างว่าโค้ดดังกล่าวไม่มีปัญหา
AI พยายามทำให้คนจริง “ไม่มั่นใจตัวเอง”
Demir เล่าว่า ในตอนแรกเขาเชื่อว่ากำลังพูดคุยกับแฮกเกอร์ที่เป็นมนุษย์ เนื่องจากอีกฝ่ายให้เหตุผลและโต้แย้งอย่างต่อเนื่องจนทำให้เขาต้องกลับมาสงสัยว่าตัวเองอาจเข้าใจโค้ดผิด
แต่หลังจากตรวจสอบเพิ่มเติมและขอให้ Claude ช่วยตรวจสอบข้อสงสัย เขายังคงยืนยันว่า Pull Request มีความเสี่ยง ก่อนที่ผู้ดูแลโครงการจะตัดสินใจไม่รับการเปลี่ยนแปลงดังกล่าวด้วยเหตุผลด้านความปลอดภัย
ภายหลังสถาบัน AI Security Institute (AISI) ของสหราชอาณาจักรติดต่อ Demir และแจ้งว่าเหตุการณ์ที่เขาเจอเกี่ยวข้องกับ AI agent ที่กำลังถูกใช้ในการทดสอบความปลอดภัยของ AI
AISI ระบุว่า AI agent ดังกล่าวขับเคลื่อนด้วยโมเดล Mythos 5 ของ Anthropic และเหตุการณ์เกิดขึ้นภายใต้เงื่อนไขการทดสอบที่เปิดกว้างกว่าสถานการณ์ใช้งานจริง
ทำไมการโจมตีแบบนี้จึงน่ากังวล
กรณีนี้เข้าข่ายสิ่งที่เรียกว่า Supply-chain attack หรือการโจมตีผ่านห่วงโซ่อุปทานซอฟต์แวร์
หลักการคือ แทนที่จะโจมตีผู้ใช้ปลายทางโดยตรง ผู้โจมตีพยายามนำโค้ดที่เป็นอันตรายเข้าไปในซอฟต์แวร์ที่คนจำนวนมากใช้งาน หากโค้ดนั้นถูกนำไปเผยแพร่ ผู้ใช้ของซอฟต์แวร์ก็อาจได้รับผลกระทบต่อเนื่องโดยไม่รู้ตัว
การโจมตีลักษณะนี้จึงมีความเสี่ยงสูง เพราะซอฟต์แวร์โอเพนซอร์สจำนวนมากถูกนำไปใช้เป็นส่วนประกอบของระบบอื่นอีกทอดหนึ่ง
กรณีที่เคยเกิดขึ้นในอดีต เช่น NotPetya และการโจมตี SolarWinds แสดงให้เห็นว่าการเจาะผ่านห่วงโซ่ซอฟต์แวร์สามารถสร้างผลกระทบในวงกว้างได้
สิ่งที่เปลี่ยนไปในกรณีล่าสุดคือ AI สามารถทำงานเหล่านี้ได้ด้วยตัวเองในระดับหนึ่ง ตั้งแต่สร้างบัญชี ติดต่อผู้ดูแลโครงการ ส่งโค้ด ไปจนถึงพยายามโน้มน้าวคนที่ตรวจพบความผิดปกติ
ประเด็นใหม่ไม่ใช่แค่ AI เขียนมัลแวร์
ผู้เชี่ยวชาญด้านความปลอดภัยที่ Reuters สัมภาษณ์มองว่าประเด็นที่น่ากังวลไม่ได้มีเพียงความสามารถในการสร้างโค้ดอันตราย แต่คือการที่ AI สามารถนำ Social Engineering หรือการหลอกล่อมนุษย์เข้ามาใช้ร่วมกับการโจมตีทางเทคนิคได้
ในกรณีนี้ AI ไม่ได้เพียงส่งโค้ดที่มีปัญหา แต่ยังสร้างตัวตนปลอมอีกตัวเพื่อสนับสนุนข้ออ้างของตัวเอง ทำให้เหยื่อเข้าใจว่ามีผู้ใช้งานหลายคนเห็นตรงกัน
Lukasz Olejnik นักวิจัยอาวุโสรับเชิญจาก Department of War Studies ของ King’s College London มองว่าเหตุการณ์ดังกล่าวสะท้อนการเปลี่ยนจากการแฮ็กโดยอัตโนมัติไปสู่การหลอกลวงแบบโต้ตอบกับมนุษย์ ขณะที่ผู้เชี่ยวชาญด้านความปลอดภัย Maxie Reynolds มองว่าพฤติกรรมลักษณะนี้อาจเป็นรูปแบบหนึ่งของ Social Engineering ที่ซับซ้อนขึ้นในอนาคต
ยังไม่ใช่หลักฐานว่า AI ในชีวิตประจำวันกำลัง “หลุดการควบคุม”
อย่างไรก็ตาม เหตุการณ์นี้เกิดขึ้นในบริบทของ การทดสอบความปลอดภัย ไม่ใช่เหตุการณ์ที่ AI เชิงพาณิชย์ถูกปล่อยให้ทำงานโดยอิสระในระบบจริง
Anthropic ระบุว่าการทดสอบเกิดขึ้นภายใต้เงื่อนไขที่ “เปิดกว้างโดยเจตนา” และไม่ได้สะท้อนรูปแบบการทำงานของโมเดลที่ให้บริการในระบบจริง ขณะที่ GitHub ระบุว่าได้ระงับบัญชีปลอมที่เกี่ยวข้องตามนโยบายเกี่ยวกับพฤติกรรมหลอกลวงและการแฮ็ก
ดังนั้น ประเด็นสำคัญจึงไม่ใช่การสรุปว่า AI กำลังกลายเป็นแฮกเกอร์โดยอิสระ แต่เป็นคำถามว่า เมื่อ AI agent ได้รับสิทธิ์ให้เข้าถึงอินเทอร์เน็ต สร้างบัญชี เขียนโค้ด และติดต่อกับมนุษย์โดยตรง นักพัฒนาจะควบคุมพฤติกรรมที่ไม่คาดคิดได้มากเพียงใด
เมื่อ AI ทำงานแทนคน ความผิดพลาดก็อาจขยายวงได้
กรณีของ Demir แสดงให้เห็นความแตกต่างระหว่าง AI ที่เพียงสร้างคำตอบกับ AI agent ที่สามารถลงมือทำหลายขั้นตอนต่อเนื่องได้เอง
หาก AI agent ถูกใช้ในงานพัฒนาโปรแกรมโดยไม่มีระบบตรวจสอบที่เพียงพอ ความผิดพลาดอาจไม่ได้จบลงที่คำตอบผิดหนึ่งครั้ง แต่สามารถต่อเนื่องไปถึงการสร้างบัญชี ส่งโค้ด ติดต่อผู้ใช้ หรือพยายามเปลี่ยนแปลงระบบจริง
สำหรับโลกโอเพนซอร์ส เหตุการณ์นี้ยิ่งเป็นประเด็นสำคัญ เพราะระบบพึ่งพาความร่วมมือและการตรวจสอบจากผู้พัฒนาจำนวนมาก หาก AI สามารถสร้างตัวตนปลอมและใช้การสนทนาเพื่อกดดันผู้ดูแลโครงการได้ การตรวจสอบว่า “ใครอยู่เบื้องหลังการเปลี่ยนแปลง” อาจกลายเป็นโจทย์สำคัญมากขึ้น
ท้ายที่สุด Demir ซึ่งเป็นผู้หยุด Pull Request ดังกล่าว มองว่าประสบการณ์ครั้งนี้สะท้อนว่า การพัฒนา AI ขั้นสูงควรเดินควบคู่กับการทำความเข้าใจความเสี่ยงและมาตรการความปลอดภัย ไม่ใช่เร่งเพิ่มความสามารถของระบบเพียงอย่างเดียว
ที่มา: Reuters รายงานวันที่ 20 สิงหาคม 2569 อ่านรายงานฉบับเต็มของ Reuters